L'Esquema Nacional de Seguretat (ENS), regulat pel Reial decret 311/2022, és obligatori per a totes les entitats del sector públic, i això inclou ajuntaments, diputacions, consells comarcals i els seus ens dependents. També afecta els proveïdors que els presten serveis tecnològics.

A la pràctica, molts ajuntaments petits i mitjans tenen el mateix repte: pocs recursos tècnics, molts accessos externs (personal en teletreball, mantenidors, empreses de programari de gestió) i una VPN antiga que ningú s'atreveix a tocar.

Què demana l'ENS sobre l'accés remot?

L'ENS no parla de productes concrets, sinó de mesures. Les més rellevants per a l'accés remot són:

Mesura ENS	Què vol dir a la pràctica
op.acc – Control d'accés	Cada persona accedeix només al que necessita (mínim privilegi)
op.acc.6 – Mecanismes d'autenticació	Doble factor per a accessos remots i comptes amb privilegis
op.exp.8 – Registre d'activitat	Saber qui ha accedit, a què i quan
mp.com – Protecció de les comunicacions	Trànsit xifrat i segmentació de xarxes
op.ext – Serveis externs	Controlar i limitar l'accés de proveïdors i tercers

El problema de la VPN tradicional en un ajuntament

Una VPN clàssica connecta l'usuari a tota la xarxa municipal. Si el portàtil d'un proveïdor o les credencials d'un treballador queden compromesos, l'atacant es pot moure pel padró, la comptabilitat, el registre o els servidors de fitxers. A més, els concentradors VPN exposats a Internet han estat un dels punts d'entrada més explotats els darrers anys.

Això xoca directament amb el principi de mínim privilegi i amb la segmentació que demana l'ENS.

Zero Trust (ZTNA): un enfocament alineat amb l'ENS

Amb un model ZTNA (Zero Trust Network Access):

Cada usuari o proveïdor veu només les aplicacions autoritzades, no tota la xarxa.
L'accés es concedeix després de verificar la identitat (amb MFA) i, opcionalment, l'estat del dispositiu.
Tot queda registrat, cosa que facilita les evidències a les auditories.
No cal exposar ports ni concentradors VPN a Internet.

Cas típic: el mantenidor del programari de gestió

Un ajuntament té un proveïdor que entra a mantenir l'aplicació de gestió tributària. Amb VPN, aquest proveïdor sol tenir accés a tota la xarxa, 24 hores. Amb ZTNA, se li dona accés només a aquell servidor, amb doble factor, es pot limitar a un horari i cada accés queda registrat. És exactament el que demana la mesura op.ext.

Passos per començar sense grans projectes

Inventari d'accessos remots: qui entra des de fora i a què.
Identificar els proveïdors externs i revisar-ne els permisos.
Activar el doble factor en tots els accessos remots.
Substituir la VPN per accés per aplicació, començant pels proveïdors.
Guardar els registres com a evidència per a l'auditoria ENS.

Com hi ajuda ConnectaSec

ConnectaSec és una plataforma ZTNA pensada per a organitzacions petites i mitjanes, amb infraestructura principal a Barcelona i empresa certificada en ENS i ISO 27001. Permet donar accés per aplicació amb MFA, controlar els proveïdors i disposar de registres d'activitat, amb un preu senzill: 5 €/usuari/mes amb 5 dispositius inclosos, i gateway dedicat des de 40 €/mes.

Si el vostre ajuntament està preparant l'adequació a l'ENS, consulteu la nostra pàgina sobre l'Esquema Nacional de Seguretat o demaneu una demo.

Aquest article és informatiu i no substitueix l'assessorament d'un auditor o consultor ENS.